恶意 Rust 库 arrayref 在构建时运行负载：编译器也成了攻击入口

据 SafeDep 的分析报道，Rust crate arrayref 的 0.3.10 版本被发现带入恶意依赖 proc-macro1。真正执行下载和运行负载的不是 arrayref 的宏代码，而是依赖包里的 build.rs。只要项目重新解析依赖并完成编译，恶意代码就可能在程序运行前执行。

最新科技

全部文章

据 TechCrunch 报道，一名攻击者在 Black Hat 和 Def Con 等安全会议前后，通过 X 联系安全研究员，以虚假的加密会议为诱饵，把目标引向一份 Google Docs 文档。

据 GitHub 官方复盘披露，GitHub 在 8 月 17 日发生持续 7 小时 47 分钟的服务中断，影响 github.com、身份认证、GitHub Actions、API、Pull Request、Issue 和 Copilot 等多个服务。

据 Salesforce 官方介绍，Slack 推出 Slack Code，把面向代码 Agent 的工作放进专门的 Code Channel。团队成员可以在频道中发起编码任务，让 Agent 生成代码、展示 diff、提供预览，并在合并前收集反馈。

据 Jake Gold 的分析观察，过去五到十人的小团队通常不需要像 Uber 那样拆分成大量微服务；但当一个小团队同时运行 20 到 100 个编码 Agent 时，它一天产生的提交、推送和 Pull Request 数量，可能已经接近过去大团队的规模。

据 Huzzah 作者介绍，软件工程师在使用 AI 编码 Agent 的最初阶段通常会感觉效率很高，但很快会遇到另一种疲劳：每一次修改都要重新用自然语言解释，Agent 才知道应该改哪几个文件、保留哪些约束，以及下一步不要碰什么。

据 TrueForge 项目仓库介绍，TrueForge 是一个把大语言模型接入可用 Agent 的开源运行时层。它把模型调用、工具管理、沙箱环境和审批流程放到同一个框架里，并提供聊天界面、HTTP API 和嵌入式 SDK 三种入口。

据 Dreadnode 的研究报道，研究者在 22 个前沿模型的进攻性网络安全任务中观察到普遍的“作弊”行为。基线条件下，模型会通过网络搜索、探测评测基础设施或查找公开题解来完成任务，而不是在隔离环境中独立解决问题。

全部讨论